Khóa riêng của 8 chứng chỉ CA trung gian eMudhra bị lộ do entropy thấp

Sự cố nghiêm trọng vừa được ghi nhận với eMudhra, một tổ chức phát hành chứng chỉ số (Certificate Authority) của Ấn Độ. Khóa riêng của 8 chứng chỉ CA trung gian thuộc hệ thống này đã bị xâm phạm, mở ra khả năng kẻ tấn công tạo ra chứng chỉ giả mạo cho bất kỳ trang web nào trên internet.

Điểm đáng chú ý là nguyên nhân gây lộ khóa không phải một vụ tấn công mạng đã biết, mà là độ ngẫu nhiên (entropy) quá thấp trong quá trình sinh khóa. Điều này biến sự cố thành một lời cảnh báo về chất lượng triển khai mật mã, chứ không chỉ đơn thuần là một vụ rò rỉ dữ liệu thông thường.

Chuyện gì đã xảy ra với eMudhra?

Theo thông tin được công bố, các khóa riêng của 8 chứng chỉ CA trung gian do eMudhra phát hành đã có thể bị dự đoán hoặc suy ra do entropy thấp. Nói cách khác, quá trình tạo khóa không đủ ngẫu nhiên, khiến không gian khóa bị thu hẹp và trở nên khả thi để tính toán ngược ra khóa riêng.

Với một CA trung gian, khóa riêng chính là "chìa khóa vạn năng" để ký chứng chỉ máy chủ. Khi khóa này bị lộ, kẻ tấn công có thể phát hành chứng chỉ hợp lệ về mặt kỹ thuật cho các tên miền không thuộc quyền quản lý của mình, phục vụ các cuộc tấn công đánh chặn (MITM) và giả mạo website.

Điều đáng lo nhất không phải là một vụ hack ồn ào, mà là một lỗi triển khai âm thầm làm suy yếu toàn bộ chuỗi tin cậy mà hàng triệu thiết bị dựa vào.

Phản ứng của các trình duyệt và phần mềm

Các trình duyệt lớn đã phản ứng bằng cách đưa các chứng chỉ bị ảnh hưởng vào danh sách thu hồi (revocation list). Nhờ đó, người dùng Chrome, Firefox hay Safari được bảo vệ phần nào khi truy cập các trang web sử dụng chứng chỉ giả mạo.

Tuy nhiên, tình hình phức tạp hơn với các phần mềm không phụ thuộc vào danh sách thu hồi của trình duyệt. Những hệ thống này buộc phải loại bỏ hoàn toàn root emSign ECC G3 khỏi kho tin cậy của mình. Đây là bước xử lý mạnh tay vì nó ảnh hưởng đến toàn bộ chứng chỉ được phát hành dưới root này, kể cả những chứng chỉ hợp lệ.

Rủi ro còn tồn đọng với hệ thống chưa vá

Vấn đề lớn nhất hiện nay là các hệ thống chưa được cập nhật vẫn tiếp tục tin tưởng root cũ. Với những hệ thống này, chứng chỉ giả mạo do kẻ tấn công tạo ra vẫn có thể được chấp nhận như chứng chỉ hợp pháp.

Rủi ro không dừng ở việc giả mạo website thông thường. Các chứng chỉ bị ảnh hưởng còn được dùng cho xác thực máy khách (client authentication) và mTLS — cơ chế xác thực hai chiều phổ biến trong các hệ thống API nội bộ, kiến trúc microservices và hạ tầng cloud.

• Xác thực máy khách: kẻ tấn công có thể giả danh một máy khách hợp lệ để truy cập hệ thống nội bộ.
• mTLS: toàn bộ mô hình tin cậy hai chiều giữa client và server bị đe dọa nếu một bên dùng chứng chỉ từ chuỗi bị ảnh hưởng.
• Thiết bị IoT và hệ thống nhúng: nhiều thiết bị hiếm khi cập nhật chứng chỉ gốc, nên nguy cơ kéo dài rất lâu.

Bài học cho các tổ chức tại Việt Nam

Sự cố eMudhra là lời nhắc nhở trực tiếp cho các doanh nghiệp và đơn vị vận hành hệ thống tại Việt Nam, đặc biệt những nơi đang triển khai mTLS cho API nội bộ hoặc dùng chứng chỉ trong hạ tầng cloud.

Các bước nên thực hiện ngay:

• Rà soát kho tin cậy (trust store) trên máy chủ, thiết bị và ứng dụng để kiểm tra xem có chứa root emSign ECC G3 hay không.
• Cập nhật danh sách thu hồi và đảm bảo phần mềm thực sự kiểm tra trạng thái thu hồi, thay vì bỏ qua bước này vì lý do hiệu năng.
• Không phó mặc cho trình duyệt: các hệ thống backend, ứng dụng di động và thiết bị IoT cần quy trình quản lý chứng chỉ riêng, có kiểm soát.
• Đánh giá chất lượng sinh khóa trong các hệ thống nội bộ, đặc biệt với thiết bị nhúng thiếu nguồn entropy tốt.

Entropy thấp là lỗi khó phát hiện nhưng có sức tàn phá lớn: khóa trông hoàn toàn bình thường, chỉ có điều kẻ tấn công có thể đoán ra chúng.

Kết luận

Vụ việc eMudhra cho thấy chuỗi tin cậy của internet vẫn mong manh trước những lỗi triển khai tưởng chừng nhỏ. Trình duyệt đã phần nào khoanh vùng thiệt hại, nhưng phần lớn hạ tầng phía sau — API, microservices, thiết bị IoT — vẫn phụ thuộc vào việc quản trị viên có chủ động rà soát và vá lỗi hay không. Với các tổ chức tại Việt Nam, đây là thời điểm thích hợp để kiểm tra lại toàn bộ kho chứng chỉ tin cậy và quy trình quản lý vòng đời chứng chỉ của mình.